KI deckt Sicherheitslücke auf, die Jahrzehnte verborgen blieb
Immer häufiger mischt KI bei der Suche nach Sicherheitslücken mit. Das Unternehmen Anthropic hat mit „Mythos“ ein Modell entwickelt, das gezielt Software-Schwachstellen aufspüren soll. Eine schlummerte. . .
Immer häufiger mischt KI bei der Suche nach Sicherheitslücken mit. Das Unternehmen Anthropic hat mit „Mythos“ ein Modell entwickelt, das gezielt Software-Schwachstellen aufspüren soll. Eine schlummerte bereits 27 Jahre lang im Code eines Betriebssystems. 127 Sicherheitslücken! So viele hat Google letztens in einem Chrome-Update geschlossen. Eine Woche später: 79 weitere. Wo kommen die denn plötzlich alle her?Klar, einige kommen klassischerweise von Sicherheitsforschern und Bug-Bounty-Programmen, bei denen man für das Finden solcher Lücken belohnt wird. Aber immer häufiger kommen solche Funde auch von KI. Denn KI ist nicht nur gut darin, Videos über „geile Früchte“ zu erstellen, sondern kann auch ganz gut Code lesen und schreiben. So hat Anthropic, die Firma hinter Claude, mit Mythos ein Modell vorgestellt, das speziell dazu in der Lage sein soll, Sicherheitslücken ausfindig zu machen. „ZU GEFÄHRLICH, UM ES AUF DIE ÖFFENTLICHKEIT LOSZULASSEN!“So soll unter anderem eine Sicherheitslücke gefunden worden sein, die seit 1998 im Code von OpenBSD abhing. Das ist das Betriebssystem, das in Firewalls verwendet wird. Also, schon beachtlich, dass da was gefunden wurde. Zugegeben, wir haben nicht so viel Einblick in Anthropics „Mythos“, aber glücklicherweise hat das Daniel Stenberg. Stenberg ist der Schirmherr hinter curl, eine Anwendung, von der ihr wahrscheinlich noch nie gehört habt, auf die aber zahlreiche Apps im Hintergrund setzen. Und er kommuniziert glücklicherweise sehr aktiv, was die Zusammenarbeit zwischen ihm und KI-Bug-Findern angeht. Vor einiger Zeit ging sein Beitrag darüber, dass er KI-generierte fehlerhafte Bug-Reports bekommt, in Entwicklerkreisen viral. Fehler waren keine und mutmaßlich fehlerhafter Code wurde von KI-Modellen halluziniert, in der Hoffnung, so an die Bug-Bounty-Belohnung ranzukommen. Anfang des Jahres die Konsequenz: das Bug Bounty Programm wurde eingestellt. Vorerst. Denn nur wenige Monate später hat sich offenbar alles geändert. Nachdem das Programm im März wieder eröffnet wurde, gab es positive Änderungen: „Slop“ ging zurück, die Anzahl der echten erkannten Sicherheitslücken schoss in die Höhe. Und dann kam Mythos. Das Modell von Anthropic wurde auf den Code von curl losgelassen. Das Ergebnis: Fünf gefundene Fehler. Wie Stenberg es zusammenfasst: Drei False Positives, ein Bug und tatsächlich eine Sicherheitslücke!Was bedeutet das für uns? Noch nie hat so wie jetzt gegolten: Wenn es Updates gibt, installiert sie. Aber müssen wir jetzt Panik haben? Geht so. Nicht alles, was gefunden wird, ist auch ne Sicherheitslücke und nicht jede Sicherheitslücke kann auch direkt ausgenutzt werden. Aber: In den nächsten Monaten werden wir dank KI noch über einige Fehler stolpern, die vielleicht schon einige Zeit in unseren Systemen geschlummert haben. Alle Infos zu dem Thema haben wir für euch im Video zusammengefasst. Hat dir der Beitrag gefallen? Folge uns aufMSNoderbevorzuge uns auf Googleund verpasse keine Neuigkeit rund um Technik, Games und Entertainment.